راهنمای تخصصی امن سازی وای فای سازمانی با استفاده از WPA3 و استاندارد 802.1X

امنیت شبکه‌ های بی‌ سیم امروزه بخش بسیار مهمی از زیرساخت ارتباطی سازمان‌ها است. با گسترش رایانش ابری و اینترنت اشیا (IoT)، دیگر نمی‌ توان با روش‌ های سنتی از اطلاعات محرمانه محافظت کرد. امن سازی وای فای سازمانی برای جلوگیری از حملات سایبری، حملات هکری و دسترسی غیرمجاز به سرورها و منابع داخلی کاملاً ضروری است. جدیدترین پروتکل ارائه شده توسط اتحادیه وای‌ فای (Wi-Fi Alliance)، پروتکل WPA3 است که با بهره‌گیری از روش‌ های پیشرفته احراز هویت و رمزنگاری، امنیت بسیار بالاتری نسبت به WPA2 ارائه می‌ دهد. ترکیب معماری WPA3-Enterprise با استاندارد 802.1X، مدیریت یکپارچه‌ای بر کنترل دسترسی و هویت کاربران در شبکه سازمانی فراهم می‌ آورد.

معماری استاندارد 802.1X و تحول در سازوکار احراز هویت

استاندارد 802.1X یک استاندارد توسعه یافته توسط موسسه مهندسان برق و الکترونیک (IEEE) است که با استفاده از سازوکار احراز هویت قوی، دسترسی کاربر به شبکه را پیش از تخصیص آدرس IP کنترل می کند. این استاندارد با داشتن متدهای گوناگون درون چارچوب پروتکل توسعه پذیر احراز هویت (EAP)، مجموعه ای از روش های بررسی هویت را ارائه می دهد و از این طریق، بالاترین میزان کنترل بر هویت کاربران را برای امن سازی وای فای سازمانی فراهم می کند.

استاندارد 802.1X از طریق کنترل دسترسی شبکه مبتنی بر پورت (PNAC) عمل می کند. به این معنا که دستگاه هایی که سعی دارند به شبکه وصل شوند، ابتدا در یک پورت مجازی مسدود شده قرار می گیرند و تنها پس از تایید اعتبار هویتشان، پورت برای عبور ترافیک داده باز می گردد. در شبکه ای که این استاندارد در آن پیاده سازی شده باشد، فرآیند شناسایی از طریق سه موجودیت اصلی انجام می شود.

• جزء اول درخواست کننده (Supplicant) است که در واقع نرم افزار موجود بر روی یک کاربر یا دستگاه است که درخواست اتصال به شبکه را ارسال می کند.
• جزء دوم تایید کننده هویت (Authenticator) است که به عنوان دستگاه واسطه میان کاربر و سرور عمل می کند و در شبکه های بی سیم معمولا همان اکسس پوینت (Access Point) یا کنترل کننده شبکه بی سیم (WLC) خواهد بود. این بخش پیام های EAPOL را از کلاینت دریافت کرده و آن ها را در قالب پیام های پروتکل RADIUS به سمت سرور ارسال می کند.
• جزء سوم سرور تایید هویت (Authentication Server) است که با تایید هویت، اجازه دسترسی یا عدم دسترسی کاربر را صادر می کند. سرور RADIUS (مانند Cisco ISE یا Microsoft NPS) به عنوان قلب تپنده این معماری در امن سازی شبکه سازمانی عمل می نماید.

فرآیند ارتباطی میان این سه موجودیت بر پایه تبادل پیام های EAPOL (EAP over LAN) استوار است. کلاینت پس از برقراری ارتباط رادیویی اولیه با اکسس پوینت، پیام EAPOL-Start را ارسال می کند. اکسس پوینت با درخواست هویت پاسخ داده و پس از دریافت شناسه کاربری، ارتباط را از طریق شبکه سیمی با سرور RADIUS ادامه می دهد. سرور پس از مذاکره بر سر نوع متد EAP و تایید نهایی اعتبارنامه ها، پیام EAP-Success را به همراه کلید اصلی جلسه (MSK) به اکسس پوینت ارسال می کند تا فرآیند تولید کلیدهای رمزنگاری برای محافظت از داده ها آغاز گردد.

پروتکل WPA3-Enterprise و ویژگی های نوین برای سازمان ها

نسخه سازمانی WPA3 به طور خاص برای استقرار در سازمان‌ های بزرگ، مؤسسات مالی و نهادهای دولتی طراحی شده است. برخلاف نسخه شخصی که از الگوریتم SAE بهره می‌ برد، WPA3-Enterprise منحصراً بر پایه پروتکل‌ های 802.1X و سرور RADIUS عمل می‌ کند تا هر کاربر به طور مستقل اعتبارسنجی شود. پیشرفت‌های کلیدی این پروتکل عبارتند از:

• فریم‌ های مدیریت محافظت شده (PMF): در امنیت شبکه بی‌سیم مبتنی بر WPA3، استفاده از ویژگی PMF (استاندارد 802.11w) کاملاً اجباری است. این قابلیت از حملات قطع اتصال (Deauthentication) و ارسال فریم‌های جعلی توسط هکرها به طور کامل جلوگیری می‌کند.

• حالت امنیتی ۱۹۲ بیتی (192-bit Suite B): این حالت برای محافظت از داده‌های حساس در محیط‌ های فوق‌ امنیتی طراحی شده است. در این حالت از الگوریتم رمزنگاری پیشرفته GCMP-256 و الگوریتم درهم‌سازی SHA-384 استفاده می‌ شود که بالاترین سطح استانداردهای امنیت اطلاعات را تضمین می‌ کند.

• محرمانگی پیشرو (Forward Secrecy): با تولید کلیدهای رمزنگاری جدید و یکتا در هر نشست ارتباطی، حتی در صورت کشف شدن رمز عبور یا نفوذ به شبکه در آینده، مهاجم نمی‌ تواند ترافیک ضبط شده‌ی قبلی را رمزگشایی کند.

کالبدشکافی حالت فوق امنیتی 192 بیتی (CNSA Suite)

یکی از ویژگی های انقلابی و بی نظیر WPA3-Enterprise استفاده از سطح امنیتی ۱۹۲ بیتی مطابق استانداردهای مجموعه الگوریتم های امنیت ملی تجاری (CNSA) است. این سطح از رمزنگاری برای شبکه های خانگی یا کسب و کارهای کوچک معمولا ضروری نیست، اما برای اطلاعات به شدت حساس و حیاتی در صنایع دفاعی، دولتی و مالی، می تواند لایه امنیتی فوق العاده قدرتمندتری ایجاد کند. WPA3-Enterprise با ارائه حداقل رمزگذاری ۱۹۲ بیتی برای سازمان ها، سطح بی سابقه ای در امنیت کل شبکه فراهم می کند.

مطالعه کنید: اهمیت تست نفوذ شبکه 

حالت 192 بیتی که در استانداردهای IEEE با شناسه AKM 12 شناخته می شود، الزامات رمزنگاری بسیار سخت گیرانه ای را به تجهیزات تحمیل می کند. در این حالت، الگوریتم آشنای AES-CCMP-128 که سال ها استاندارد طلایی شبکه ها بود، به طور کامل کنار گذاشته شده و جای خود را به الگوریتم GCMP-256 (Galois/Counter Mode Protocol با کلید 256 بیتی) می دهد. این الگوریتم سرعت و امنیت بسیار بالاتری در پردازش داده های حجیم ارائه می کند. علاوه بر این، برای تایید و مشتق سازی کلیدها، الگوریتم هش از SHA-256 به SHA-384 ارتقا یافته است.

الزامات حالت 192 بیتی تنها به لایه داده محدود نمی شود؛ بلکه پروتکل های احراز هویت را نیز تحت تاثیر قرار می دهد. در این معماری، استفاده از هرگونه متد مبتنی بر رمز عبور اکیدا ممنوع است و سازمان موظف است منحصرا از متد EAP-TLS با گواهینامه های دیجیتال استفاده کند. طول کلید گواهینامه ها نیز باید حداقل بر پایه رمزنگاری منحنی بیضوی 384 بیتی (Curve P-384) یا کلیدهای RSA با طول حداقل 3072 بیت باشد. این معماری تضمین می کند که هیچ نقطه ضعفی در طول مسیر از دستگاه کلاینت تا سرور RADIUS وجود نداشته باشد.

تحلیل تطبیقی و انتخاب پروتکل EAP مناسب

استاندارد 802.1X یک چارچوب خالی است که امنیت نهایی آن توسط متد EAP انتخاب شده تعیین می گردد. چندین روش مختلف برای احراز هویت ارائه شده است که انتخاب روش درست و متناسب با زیرساخت شبکه سازمان، یکی از تصمیم های استراتژیک هنگام پیاده سازی امن سازی وای فای سازمانی است. از میان ده ها متد موجود، دو روش PEAP و EAP-TLS بیشترین کاربرد را در شبکه های سازمانی دارند.

کالبدشکافی متد PEAP

روش PEAP (Protected Extensible Authentication Protocol) به دلیل عدم نیاز به گواهینامه دیجیتال برای هر کاربر، رایج ترین روش پیاده سازی شده در جهان است. این روش مشابه یک تونل امن عمل می کند؛ ابتدا سرور RADIUS گواهینامه خود را به کلاینت ارائه می دهد تا هویت سرور برای کلاینت اثبات شود. پس از تایید این گواهینامه توسط کلاینت، یک تونل رمزنگاری شبکه TLS میان آن دو برقرار می گردد. در مرحله بعد و در کمال امنیتِ درون این تونل، اطلاعات کاربری (معمولا نام کاربری و هش رمز عبور از طریق پروتکل MSCHAPv2) به سرور ارسال می شود.

این روش امنیت مناسبی ارائه می دهد و برای سازمان هایی که اهمیت بیشتری به راه اندازی ساده و یکپارچگی سریع با اکتیو دایرکتوری می دهند، مناسب است. با این وجود، پاشنه آشیل PEAP در پیکربندی سمت کلاینت نهفته است. اگر کلاینت به گونه ای تنظیم نشده باشد که گواهینامه سرور را به دقت بررسی کند، هکرها می توانند با ایجاد یک اکسس پوینت جعلی (Evil Twin) و ارائه یک گواهینامه نامعتبر، کلاینت را فریب داده و تونل TLS را با خود هکر برقرار کنند. در این حالت، هکر قادر خواهد بود هش رمز عبور کاربر را سرقت نماید.

کالبدشکافی متد EAP-TLS (استاندارد طلایی)

روش EAP-TLS به دلیل استفاده از گواهینامه دیجیتال برای هر دو طرف ارتباط، پروتکلی بی نهایت امن برای احراز هویت کاربران در شبکه های بی سیم است. در این متد، رمز عبور به طور کامل از چرخه احراز هویت حذف می شود و جای خود را به احراز هویت دوطرفه (Mutual Authentication) می دهد. هم سرور و هم کلاینت باید گواهینامه های دیجیتال معتبری را که توسط مرجع صدور گواهینامه (CA) سازمان امضا شده اند، به یکدیگر ارائه کنند.

EAP-TLS با ایجاد گواهینامه دیجیتال برای هر کاربر، بالاترین سطح امنیت و کنترل هویت را برای سازمان ها فراهم می کند. از آنجایی که هیچ رمز عبوری تبادل نمی شود، حملات فیشینگ، سرقت اعتبارنامه ها و حملات مرد میانی (MitM) در این ساختار کاملا بی اثر هستند. همچنین، این تنها متدی است که استانداردهای سخت گیرانه حالت 192 بیتی WPA3-Enterprise آن را مجاز می داند. اخیرا با معرفی استاندارد RFC 9190، پشتیبانی از نسخه 1.3 پروتکل TLS نیز به EAP-TLS افزوده شده است که علاوه بر افزایش سرعت اتصال، حریم خصوصی هویت کاربران را با رمزنگاری زودهنگام گواهینامه ها تضمین می نماید. با این حال، راه اندازی و مدیریت این روش فرایندی بسیار پیچیده تر است و نیازمند استقرار یک زیرساخت کلید عمومی (PKI) جامع در سازمان می باشد.

پیش نیازهای سخت افزاری، نرم افزاری و پیاده سازی

برای پیاده سازی WPA3-Enterprise و 802.1X به منظور امن سازی وای فای سازمانی، ابتدا باید زیرساخت شبکه و تجهیزات مورد نیاز با دقت ارزیابی و آماده شوند. پیش از هر چیز باید مطمئن شوید که تجهیزات شبکه سازمان شما از این استانداردهای نوین پشتیبانی می کنند. اکسس پوینتها و سوییچ شبکه باید امکان کپسوله سازی ترافیک از طریق 802.1X را داشته باشند و بتوانند با یک سرور RADIUS ارتباط برقرار کنند. همچنین سخت افزار رادیویی آن ها باید از الگوریتم های پیچیده ریاضیاتی نظیر GCMP-256 و پردازش فریم های PMF پشتیبانی نماید.

در سمت هسته شبکه نیز به یک سیستم تایید هویت مرکزی نیاز است. بهترین محصول برای پیاده سازی 802.1X به مقیاس زیرساخت و نیازهای عملیاتی شبکه شما بستگی دارد. برای امن سازی شبکه سازمانی به طور معمول از پلتفرم Cisco ISE برای سازمان های بزرگ و شبکه های پیچیده استفاده می شود. پلتفرم Cisco ISE این قابلیت را دارد که سیاست های امنیتی بسیار پیچیده، تخصیص پویای VLAN ها بر اساس هویت کاربر و مدیریت متمرکز را به صورت یکپارچه اعمال کند. در مقابل، از نرم افزار Microsoft NPS برای سازمان های کوچک تر که دارای شبکه یکپارچه مبتنی بر اکتیو دایرکتوری ویندوز هستند، استفاده می شود. این راهکار به عنوان یک سرور RADIUS اقتصادی عمل می کند، هرچند ممکن است در پیاده سازی ویژگی های پیشرفته تر WPA3 نیازمند تخصص بالاتری در پیکربندی باشد. امروزه راهکارهای ابری (Cloud RADIUS) نیز به شدت در حال گسترش هستند که نیاز به نگهداری سرور فیزیکی را در سازمان از بین می برند.

مقایسه مشخصات فنی معماری‌های سازمانی

نتیجه‌گیری

مهاجرت به WPA3-Enterprise در ترکیب با چارچوب ساختاریافته‌ی 802.1X، یک ضرورت قطعی برای امن سازی شبکه سازمانی و محافظت از دارایی‌های دیجیتال در برابر تهدیدات نوین است. با اجباری شدن مکانیسم‌هایی نظیر فریم‌های مدیریت محافظت شده (PMF) و ترکیب آن با گواهینامه دیجیتال در متد EAP-TLS، مدیران شبکه می‌توانند اطمینان حاصل کنند که زیرساخت شبکه‌های بی‌سیم آن‌ها در برابر شنود غیرمجاز و سرقت داده‌های حساس، مقاومتی نفوذناپذیر خواهد داشت.